3계층 Compute Engine 배포가 있습니다. 각 계층의 인스턴스는 전용 서비스 계정을 사용합니다. tier1 -> tier2 및 tier2 -> tier3 간의 TCP 8080 통신을 활성화해야 합니다. 어떻게 해야 할까요?

정답은 각 계층의 전용 서비스 계정을 사용하여 필요한 통신만 허용하는 인그레스 방화벽 규칙을 생성하는 것입니다. 첫 번째 규칙은 계층 1의 인스턴스가 계층 2의 인스턴스에 TCP 8080 포트를 통해 접근하도록 허용하고, 두 번째 규칙은 계층 2의 인스턴스가 계층 3의 인스턴스에 TCP 8080 포트를 통해 접근하도록 허용합니다. 이는 최소 권한의 원칙을 따르며, 서비스 계정을 소스 및 대상으로 사용하여 특정 계층 간의 통신을 정확하게 제어할 수 있습니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다: IP 범위 사용은 인스턴스가 동적으로 변경될 수 있는 환경에서 관리하기 어렵고, 서비스 계정을 사용하는 것보다 덜 안전합니다. '모두 허용' 프로토콜은 필요한 것보다 더 많은 접근을 허용하여 보안 위험을 증가시킵니다. 이그레스 규칙은 나가는 트래픽을 제어하며, 이 시나리오에서는 들어오는 트래픽(인그레스)을 제어해야 합니다.